node-npm安全性插件helmet（防护包含点击劫持、xss、嗅探攻击...）

## helmet.js
基于node-express的一款安全防护中间件,可以通过设置各种HTTP标题来帮助您保护您的Express应用程序。

一、安装

首先运行

npm install helmet --save

引用

var express = require('express')var helmet = require('helmet')var app = express()//使用helmet全部功能app.use(helmet())//单独使用某一功能app.use(helmet.noCache())

二、作用

引入 描述 require(‘helmet-csp’) 配置内容安全策略 require(‘expect-ct’) 配置预期证书透明度 require(‘dns-prefetch-control’) DNS欲缓冲配置 require(‘frameguard’) 点击劫持防护 require(‘hide-powered-by’) 隐匿或虚假配置程序运行支持 require(‘hpkp’) 绑定HTTP公钥防止修改 require(‘hsts’) 使用https而不是http require(‘ienoopen’) 防止html下载 require(‘nocache’) 禁用浏览器缓存 require(‘dont-sniff-mimetype’) 禁止嗅探MIME类型 require(‘referrerPolicy’) 隐藏Referer标题 require(‘x-xss-protection’) 防止部分XSS攻击

三、CSP策略

内容安全策略CSP（Content-Security-Policy），对于这个设置，可以帮助防止JavaScript，CSS，插件等方式的恶意注入。

大多数现代浏览器都支持一个标题Content-Security-Policy，这个标题实际上是允许在你的页面上的白名单。您可以将JavaScript，CSS，图像，插件等等列入白名单。

假设你有一个网站没有链接到外部资源，只是链接你自己的东西。你可以设置一个标题，如下所示：

Content-Security-Policy: default-src 'self'

这有效地告诉浏览器“只加载来自我自己的域的东西”。如果您正在运行example.com并且用户试图加载https://example.com/my-javascript.js，那么它将会正常运行。但是，如果用户尝试加载http://evil.com/evil.js，它将不会加载！

使用helmet增强CSP的安全性配置

// 首先确保你运行过 "npm install helmet-csp" 来获取csp的包// 引入基于helmet的csp包var csp = require('helmet-csp')//各类资源文件的白名单配置app.use(csp({  directives: {    defaultSrc: ["'self'", 'default.com'],    styleSrc: ["'self'", 'maxcdn.bootstrapcdn.com'],    imgSrc: ['img.com', 'data:'],    sandbox: ['allow-forms', 'allow-scripts'],    reportUri: '/report-violation',    objectSrc: [], // An empty array allows nothing through  }})

更多配置

四、点击劫持（Clickjacking）

说到点击劫持首先应该清楚HTML的<iframe>标签，使用这个标签可以有效地嵌入另一个HTML页面到当前页面。

Clickjacked页面通过点击隐藏的链接来欺骗用户进行不期望的操作。在一个骇人听闻的页面上，攻击者在透明层中加载另一个页面。用户认为他们正在点击可见按钮，而他们实际上是在隐藏/不可见页面上执行操作。比如我们访问的页面被内嵌到与窗口大小相同的透明的页面中，我们在输入完用户名和密码后点击登录按钮时，你的账户和密码就会被记录。

最简单解决方案当然是禁用iframe这个不安全的标签，如果一定要使用也请做好X-Frame选项头的配置。禁止浏览器在<frame>或<iframe>中呈现页面，网站可以通过确保其内容不被嵌入到其他站点中，从而避免出现Clickjacking攻击。为包含HTML内容的所有响应设置X-Frame-Options标题。

使用helmet

// 禁止任何iframe嵌套// 设置 "X-Frame-Options: DENY".app.use(frameguard({ action: 'deny' }))// 仅仅允许发生同源的iframe嵌套// Sets "X-Frame-Options: SAMEORIGIN".app.use(frameguard({ action: 'sameorigin' }))app.use(frameguard())  // defaults to sameorigin// 允许一个的主机地址// 设置 "X-Frame-Options: ALLOW-FROM http://example.com".app.use(frameguard({  action: 'allow-from',  domain: 'http://example.com'}))

helmet对于安全性的一共12种防范，在这里就不一一列举，翻墙链接。

---

END